Das hängt vom WLAN-Router ab.
Bei einer Fritzbox erfüllt der WLAN-Gastzugang deine Anforderungen, was ich so gelesen habe.
Bei einem Router mit OpenWRT kann man das WLAN ebenfalls so konfigurieren, dass man nur ins Internet, aber nicht ins Kabel-Netz kommt. Anleitungen dazu finden sich im Internet (man muss halt (manuell) eigene Routen, bzw. DENYs zwischen den unterschiedlichen Netzwerkinterfaces konfigurieren). So habe ich das schonmal gemacht, nur mi dem Unterschied, dass ich von einem WLAN-AP aus 2 WLANs aufgespannt habe. Eines privat mit Netzwerkzugriff, und einen zweiten Gast-Zugang, der eben nicht ins restliche Netz kam (auch nicht in mein privates WLAN).
Gibt bestimmt auch noch andere Routermodelle, die solche Gastzugänge unterstützen.
Beide Lösungen haben aber nichts mit VLAN zu tun. Macht ja in dieser Konstellation beides ein Gerät, nämlich der WLAN-Router.
Evtl. ermöglicht dein Router das ja auch via VLAN einzustellen. Der Knackpunkt ist aber, wie der Router die unterschiedlichen Netze routet.
Mit VLANs ist dem Router ja erstmal auch egal, ob dein Kabelnetzwerk VLAN1 ist und dein WLAN VLAN2. Du musst dem Router ja trotzdem noch irgendwie beibringen, dass dann VLAN2 (also das WLAN) NUR ins Internet geroutet werden darf, aber eben nicht ins VLAN2, selbst wenn das die gleichen Subnetze wären, oder jemand manuell auf seinem Client das gleiche Subnetz einstellt. Aber das muss halt der Router überhaupt erstmal können, also auch einstellbar können.
Edit: Da du deinen WLAN-AP (dann aber eigentlich nicht Router) auch als Switch benutzt, muss ja auch der WLAN-AP schon trennen, was via WLAN und was via Kabel reinkommt. Oder dürfen am WLAN-AP-Swich per Kabel angeschlossene Geräte dann doch auch mit den WLAN-Geräten kommunizieren?
Also mein Setup ist so, dass ich einen WLAN-AP mit OpenWRT habe. Der macht 2 WLANs, Privat und Gast und ist auch Switch für Kabellan. Der WLAN-AP selbst routet das Gast-Netzwerk nur an mein Gateway, nirgends anders hin. Der eigentliche Rouer kriegt davon gar nix mit. Mein Privates WLAN und die Netzwerkanschlüsse routet er ganz normal.